L’Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, integrando le FAQ ODA.8 e ODA.9 e introducendo le nuove ODA.10, ODA.11 e ODA.12.
Il chiarimento più rilevante riguarda il ruolo dei vertici aziendali. L’approvazione dei documenti previsti dall’articolo 23 del D.Lgs. 138/2024 costituisce una competenza esclusiva dell’organo di amministrazione, collegiale o monocratico, e non può essere delegata. Possono invece essere affidate alle strutture competenti le attività tecniche e operative necessarie per dare concreta attuazione agli obblighi NIS2.
ACN distingue quindi tra governance strategica e gestione operativa. I documenti sottoposti all’approvazione del vertice devono definire gli indirizzi generali e la pianificazione delle misure di sicurezza informatica. Procedure, istruzioni operative, manuali e altri documenti tecnici possono invece essere predisposti e aggiornati dai responsabili interni, senza richiedere ogni volta una nuova deliberazione dell’organo amministrativo.
Per quanto riguarda le responsabilità degli organi di amministrazione, le FAQ ODA.8 e ODA.9 ribadiscono che l’approvazione dei documenti richiesti dall’articolo 23 del decreto NIS rientra esclusivamente nelle competenze dell’organo collegiale oppure, nei casi previsti, dell’organo monocratico. Tale funzione non può quindi essere oggetto di delega. Possono invece essere affidate ad altri soggetti o strutture le attività necessarie a dare concreta attuazione agli obblighi operativi previsti dalla normativa.
La FAQ ODA.10 chiarisce che i documenti destinati all’approvazione degli organi di amministrazione devono contenere gli orientamenti generali e la programmazione strategica delle misure di sicurezza. I documenti di carattere tecnico e operativo, come procedure, istruzioni di lavoro e manuali, possono invece essere elaborati, gestiti e aggiornati dalle funzioni competenti senza dover essere sottoposti all’approvazione degli organi di governo.
Le FAQ ODA.11 e ODA.12 specificano infine che i soggetti NIS sono liberi di strutturare la documentazione nella forma ritenuta più adeguata, ricorrendo sia a un documento unico sia a più documenti collegati e coordinati tra loro. L’eventuale aggiornamento dei documenti tecnici e organizzativi richiamati nella documentazione strategica non determina, di per sé, la necessità di sottoporre nuovamente quest’ultima all’approvazione.
Per le organizzazioni interessate diventa quindi essenziale verificare la corretta distinzione tra documenti strategici e operativi, formalizzare le approvazioni del vertice e conservare adeguate evidenze delle attività di supervisione.
Mi.Zar. S.r.l. supporta le aziende nell’adeguamento della governance, della documentazione e delle procedure NIS2.
